Ettepanek: direktiiv meetmete kohta, millega tagada küberturvalisuse ühtlaselt kõrge tase kogu liidus

Vaatamata märkimisväärsetele saavutustele on võrgu- ja infosüsteemide turvalisust käsitlev direktiiv (küberturvalisuse direktiiv), mis sillutas teed mõtteviisi, institutsioonilise ja regulatiivse lähenemisviisi märkimisväärsele muutmisele paljudes liikmesriikides, nüüdseks tõestanud ka oma piiratust. Ühiskonna digiüleminek (mida võimendas COVID-19 kriis) on laiendanud ohumaastikku ja toob kaasa uusi probleeme, mis nõuavad kohandatud ja uuenduslikke lahendusi.
Nüüd võivad mis tahes häired, isegi kui need piirdusid esialgu ühe üksuse või sektoriga, avaldada astmelist mõju laiemalt, mis võib kaasa tuua kaugeleulatuva ja pikaajalise negatiivse mõju teenuste osutamisele kogu siseturul.

Nende probleemide lahendamiseks, nagu teatati teatises „Euroopa digituleviku kujundamine“, kiirendas komisjon direktiivi läbivaatamist 2020. aasta lõpuni, koostas mõjuhinnangu ja esitas uue seadusandliku ettepaneku.

Komisjoni ettepaneku põhielemendid

Komisjoni uue ettepaneku eesmärk on kõrvaldada eelmise võrgu- ja infoturbe direktiivi puudused, kohandada seda praegustele vajadustele ja muuta see tulevikukindlaks.

Selleks laiendatakse komisjoni ettepanekuga kehtiva võrgu- ja infoturbe direktiivi kohaldamisala, lisades uusi sektoreid, mis põhinevad nende olulisusel majanduse ja ühiskonna jaoks, ning kehtestades selge suuruse ülempiiri, mis tähendab, et kõik valitud sektorite keskmised ja suured ettevõtjad kaasatakse kohaldamisalasse. Samal ajal jätab see liikmesriikidele teatava paindlikkuse tuvastada väiksemaid üksusi, kellel on kõrge turvariskiprofiil.

Ettepanekuga kaotatakse ka oluliste teenuste operaatorite ja digitaalse teenuse osutajate eristamine. Üksused liigitataks nende tähtsuse alusel ning jaguneksid vastavalt olulisteks ja olulisteks kategooriateks, mistõttu nende suhtes kohaldatakse erinevat järelevalvekorda.

Ettepanekuga tugevdatakse ettevõtjate turvanõudeid, kehtestades riskijuhtimise lähenemisviisi, mis sisaldab minimaalset loetelu põhilistest turvaelementidest, mida tuleb kohaldada. Ettepanekuga kehtestatakse täpsemad sätted intsidentidest teatamise protsessi, teadete sisu ja ajakava kohta.

Lisaks teeb komisjon ettepaneku tegeleda tarneahelate turvalisuse ja tarnijasuhetega, nõudes, et üksikud ettevõtjad tegeleksid küberturvalisuse riskidega tarneahelates ja tarnijasuhetes. Euroopa tasandil tugevdatakse ettepanekuga peamiste info- ja kommunikatsioonitehnoloogiate tarneahela küberturvalisust. Liikmesriigid viivad koostöös komisjoni ja ENISAga läbi kriitiliste tarneahelate koordineeritud riskihindamised, tuginedes 5G- võrkude küberturvalisust käsitleva komisjoni soovituse raames võetud edukale lähenemisviisile.

Ettepanekuga kehtestatakse liikmesriikide ametiasutustele rangemad järelevalvemeetmed, rangemad jõustamisnõuded ja eesmärk on ühtlustada karistuste korda liikmesriikides.

Ettepanekuga suurendatakse ka koostöörühma rolli kujunemisjärgus tehnoloogiaid ja uusi suundumusi käsitlevate strateegiliste poliitiliste otsuste kujundamisel ning suurendatakse teabe jagamist ja koostööd liikmesriikide ametiasutuste vahel. Samuti tõhustatakse operatiivkoostööd, sealhulgas küberkriiside ohjamise valdkonnas.

Komisjoni ettepanekuga kehtestatakse peamiste vastutavate osalejatega alusraamistik haavatavuse koordineeritud avalikustamiseks hiljuti avastatud nõrkuste puhul kogu ELis ning luuakse ELi register Euroopa Liidu Küberturvalisuse Ameti (ENISA) hallatava registri kohta.
 

Järgmised sammud

Järgmised asjakohased meetmed on järgmised:

• Ettepaneku üle peavad läbirääkimisi kaasseadusandjad, eelkõige Euroopa Liidu Nõukogu ja Euroopa Parlament.
• Kui ettepanek on heaks kiidetud ja sellest tulenevalt vastu võetud, peavad liikmesriigid võtma küberturvalisuse teise direktiivi üle 18 kuu jooksul.
• Komisjon peab küberturvalisuse teise direktiivi korrapäraselt läbi vaatama ja esitama esimest korda aruande läbivaatamise kohta 54 kuud pärast jõustumist.
• Euroopa Komisjon ootab uue küberstrateegia rakendamist lähikuudel.